Hamburgisches - Hamburgische Beauftragte für Datenschutz und

oder dgl.) (Bü-Drs. 16/3995 zu § 9). Ein automatisiertes Verfahren umfasst
damit ein „Paket bzw. eine Abfolge von Verarbeitungsschritten“ (Simitis,
BDSG, 7. Aufl., § 4d Rn 25), „die einer bestimmten Zweckbestimmung dienen“
(Gola/Schomerus, BDSG, 11. Aufl., § 4d Rn 9a). Verfahren können
dabei mehrere Softwareprogramme und eine ganze Reihe von Dateien
beinhalten. Für jedes Verfahren ist nur eine Beschreibung zu erstellen.
„Die Verfahrensbeschreibung muss in Übereinstimmung mit Artikel 19 Absatz
1 der EG-Datenschutzrichtlinie die in den Nummern 1 bis 9 genannten
Daten umfassen“ (Bü-Drs. 16/3995 zu § 9).
Die Verfahrensbeschreibung ist klar von einer Verfahrensdokumentation
abzugrenzen. Während die Verfahrensbeschreibung nur einen Überblick
über das Verfahren gewährleistet, enthält die Verfahrensdokumentation
alle zum Verständnis und zur Abwicklung eines automatisierten Verfahrens
notwendigen Informationen. Das Ziel der Öffentlichkeitsinformation ist
damit auch Maßstab für den Umfang und den Detaillierungsgrad der Verfahrensbeschreibung.
Die Verfahrensbeschreibung sollte aus sich heraus verständlich sein und
kein besonderes Vorwissen oder spezifische Kenntnisse voraussetzen.
Daher sollten auch keine Verweise auf die nur für interne Zwecke erstellte,
ausführlichere Risikoanalyse vorgenommen werden. Abkürzungen sollten
möglichst allgemeinverständlich erläutert werden. Auch sollte eine vollständige
Liste der Datenelemente, die in dem Verfahren verarbeitet werden,
enthalten sein. Die Form der Verfahrensbeschreibung ist nicht vorgeschrieben.
Der HmbBfDI hat Hinweise dazu im Internet (unter
http://www.datenschutz-hamburg.de/uploads/media/Hinweise_zur_Erstellung_einer_Verfahrensbeschreibung.doc)
veröffentlicht. Die Punkte 2,
3 und 5 der Verfahrensbeschreibung können von der Daten verarbeitenden
Stelle auch herangezogen werden, wenn Betroffene ihr Auskunftsrecht
nach § 18 Abs. 1. Nr. 2 und 3 HmbDSG geltend machen.
Absatz 2
„Für Verfahren der allgemeinen Bürokommunikation“ (Bü-Drs. 16/3995 zu
§ 9) müssen jedoch keine Verfahrensbeschreibungen erstellt werden.
Diese Verfahren „gehören heute zu der durchweg üblichen Grundausstattung
jeder Verwaltung. Sie lassen im Allgemeinen keine Gefährdung des
Rechts auf informationelle Selbstbestimmung erwarten“ (Bü-Drs. 16/3995
zu § 9). Wenn jedoch im konkreten Anwendungsfall Anhaltspunkte für mögliche
Gefährdungen dieses Rechts bestehen, ist auch für diese Verfahren
eine Verfahrensbeschreibung zu erstellen. Dabei ist zu bedenken, dass
auch mit Software, die allein mit der allgemeinen Bürokommunikation zur
85